افسر (مدیر) ارشد امنیت اطلاعات یا CISO کیست؟
افسر ارشد امنیت اطلاعات (CISO) یا Chief Information Security Officer یک نقش مدیریتی است که در آن، شما انتخاب، نظارت و رهبری هر طرحی که مربوط به امنیت یک سازمان باشد را بر عهده خواهید داشت. در شرکت های بزرگ، شما حتی ممکن است درباره ی مسائل امنیتی سازمان به دولت و مراجع قانونی پاسخگو باشید.
برخی شرح وظایف این سمت عبارت است از:
- تعیین و هدایت یک تیم از کارشناسان امنیت IT
- ایجاد یک طرح استراتژیک برای به کارگیری از فن آوری های امنیت اطلاعات
- نظارت بر توسعه (و اطمینان از انطباق با) سیاست ها، استاندارد ها و پروسیجر های امنیتی سازمان
- یکپارچه کردن توسعه سیستم های IT با سیاست های امنیتی و استراتژی های حفاظت از اطلاعات
- همکاری با ذینفعان کلیدی سازمان برای ایجاد یک برنامه مدیریت ریسک امنیت IT
- بازرسی یا Auditing سیستم های موجود و ارائه ارزیابی ریسک جامع
- پیش بینی تهدیدات امنیتی جدید و به روز بودن با زیرساخت های در حال تحول
- نظارت بر آسیب پذیری های امنیتی، تهدیدات و رویداد های امنیتی در شبکه و سیستم های میزبان
- توسعه استراتژی های رسیدگی به حوادث امنیتی و هماهنگی فعالیت های تحقیقی(Investigation)
- عمل به عنوان یک نقطه کانونی برای تحقیقات امنیتی IT و هدایت آن
- اولویت بندی و تخصیص منابع امنیتی به صورت صحیح و موثر
- آماده سازی پیش بینی های مالی برای عملیات امنیتی و پوشش تعمیر و نگهداری مناسب برای دارایی های امنیتی
- ارائه رهبری، فرصت های آموزشی و راهنمایی برای پرسنل
- کار با مدیریت ارشد برای اطمینان از اینکه سیاست های امنیتی سازمان به طرز موثری پیاده سازی شده، بازبینی، نگهداری و کنترل می گردد.
- ارائه و پیشبرد یک برنامه های آموزشی دقیق برای افزایش آگاهی کاربران و انطباق های امنیتی متمرکز
علاوه بر این وظایف، CISO باید در طیف زیادی از وظایف مدیریتی غیر فنی مشارکت داشته باشد و گزارش امنیتی خود را به CIO یا CEO ارائه دهد. برای به دست آوردن این سمت در یک سازمان، شما باید پله های ترقی را به ترتیب طی کنید. شما می توانید با سمت های زیر کار خود را آغاز کنید:
- Security Administrator
- Network Administrator
- System Administrator
بعد از آن شما می توانید با افزایش توانایی های خود در فیلد امنیت، در سمت های زیر فعالیت نمایید:
- Security Specialist
- Security Analyst
- Security Engineer
- Security Consultant
- Security Auditor
در نهایت، شما می توانید برای رسیدن به یک موقعیت در سطح ارشد، تجربه رهبری، مدیریت پروژه و سیاست های سازمانی را در موقعیت های زیر به دست آورید:
- Security Manager
- IT Project Manager
- Security Architect
- Security Director
و در نهایت به سمت CISO برسید. سمت های مشابه این نقش در سازمان عبارت است از:
- (Chief Security Officer (CSO
- (Information Security Officer (ISO
- Global Head of Information Security
حقوق متوسط برای یک CISO در حدود 175 هزار دلار سالیانه است. در حالت کلی شما می توانید انتظار داشته باشید سالیانه بین 75 هزار دلار تا 273 هزار دلار دریافت کنید. (آمار سال 2019 برگرفته از سایت secureworldxpo)
شما برای کسب این سمت حداقل میبایست مدرک کارشناسی در علوم کامپیوتر، امنیت سایبری یا سایر رشته های فنی مرتبط را داشته باشید. با خطرناک تر و پیچیده تر شدن مسائل امنیتی ، برخی از کارفرمایان مشخص می کنند که CISO باید مدرک کارشناسی ارشد امنیت IT را نیز دارا باشد. انتظار می رود شخص مورد نظر برای به دست آوردن این سمت، 7 الی 12 سال در زمینه ی IT و امنیت و حداقل 5 سال در زمینه ی مدیریت تیم های امنیتی و عملیاتی تجربه ی کاری داشته باشد.
فرد دارای این سمت می بایست مهارت های زیر را داشته باشد:
- شیوه ها و روش های استراتژی IT، معماری سازمانی و معماری امنیتی
- مفاهیم امنیتی مربوط به DNS، مسیریابی، احراز هویت، VPN، خدمات پروکسی و فن آوری کاهش DDOS
- فریمورک های ISO 27002، ITIL و COBIT
- ارزیابی انطباق PCI، HIPAA، NIST، GLBA و SOX
- سیستم های عامل ویندوز، یونیکس و لینوکس
- زبان های برنامه نویسی C، C++، C#، جاوا و PHP
- پروتکل های فایروال و سیستم های تشخیص و پیشگیری از نفوذ
- تکنیک های کدنویسی امن، هک قانونمند و مدل سازی تهدیدات
- شبکه های کامپیوتری و روتینگ سوئیچینگ
- تعریف و توسعه معماری امنیتی شبکه
- دانش ادیتینگ 3rd party و متودولوژی های ارزیابی ریسک Cloud
کارفرمایان متقاضیان زیادی را برای این سمت دارند. علاوه بر مهارت های ارتباطی، کارفرمایان می خواهند شاهد تفکر سازمانی و فرایند گرا، برنامه ریزی استراتژیک و خلاقیت برای فرد کاندید این پست باشند. مهارت های فردی و مذاکره ای شدیدا مورد علاقه کارفرمایان می باشد. CISO باید قابلیت کار در شرایط پیچیده و تعامل و نفوذ بر روی ذینفعان را به صورت روزانه داشته باشد. کارفرمایان باید بدانند که شخص مورد نظر قادر به هدایت یک تیم، همکاری با مدیران سطح بالا و ایجاد روابط با دپارتمان های مختلف را داراست. در نهایت، کارفرمایان به نتایج نگاه می کنند. CISO باید قادر به تحمل فشارهای الزامات قانونی / نظارتی و محدودیت های مالی باشد.از شناخته شده ترین مدارک امنیتی برای این سطح از مدیریت CISSP و CISM می باشد، اما مدارک دیگری نیز وجود دارد:
- CISA: Certified Information Systems Auditor
- CISM: Certified Information Security Manager
- GSLC: GIAC Security Leadership
- CCISO: Certified Chief Information Security Officer
- CGEIT: Certified in the Governance of Enterprise IT
- CISSP: Certified Information Systems Security Professional
- CISSP-ISSMP: Information Systems Security Management Professional
نویسنده: میثم ناظمی
